Conformità in uscita dall'Indonesia: UU PDP e OJK

Risposta rapida

Le chiamate in uscita in Indonesia sono disciplinate dalla legge sulla protezione dei dati personali (Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, UU PDP), insieme alla legge del Ministero delle Comunicazioni e del Digitale (Kementerian Komunikasi dan Digital) per SMS di marketing e alla legge sui servizi finanziari (Otoritas Jasa Keuangan) per le chiamate relative ai servizi finanziari. Il modello di consenso prevede il consenso esplicito per le finalità dichiarate ai sensi dell'articolo 20(2)(a) della legge sulla protezione dei dati personali (UU PDP), e non esiste un registro nazionale "Non chiamare" da consultare: esiste invece un'opzione di rifiuto a livello di operatore per SMS di marketing e, nel settore dei servizi finanziari, un obbligo di consenso e revoca per ciascuna azienda. L'unica fascia oraria pubblicata per le chiamate è quella del settore finanziario, dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 18:00 ora locale per il marketing e dalle 08:00 alle 20:00 per il recupero crediti.

In Indonesia, la maggior parte delle informazioni pubblicate sul telemarketing sono errate per un motivo specifico: descrivono una lista nazionale di esclusione che non esiste e pubblicano un'unica finestra temporale nazionale per le chiamate che non è contemplata da alcuno strumento normativo. Le normative vincolanti sono suddivise in tre fonti: una legge sulla protezione dei dati che si applica a tutti, un regolamento ministeriale sulle telecomunicazioni che riguarda il marketing tramite SMS e non tramite chiamate vocali, e un regolamento sulla condotta dei servizi finanziari, molto più rigoroso dei precedenti, che vincola l'azienda anziché l'operatore.

In sintesi

Articolo	Posizione in Indonesia
Regolatore	Kementerian Komunikasi dan Digital, noto come Komdigi, ribattezzato Kementerian Komunikasi dan Informatika nel 2024. La condotta del settore finanziario spetta a Otoritas Jasa Keuangan, OJK. L'organo di vigilanza dell'UU PDP è il lembaga da istituire ai sensi del Pasal 58
Legge e data	UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulgato il 17 ottobre 2022, Lembaran Negara 2022 No. 196. Peraturan Menteri Kominfo Nomor 5 Tahun 2021, promulgato il 1 aprile 2021. POJK Nomor 22 Tahun 2023, in vigore dal 22 dicembre 2023
È necessaria la patente	Nella legislazione indonesiana in materia di telecomunicazioni non esiste alcuna licenza o registro per il telemarketing. Nel settore dei servizi finanziari, l'obbligo ricade sulla stessa PUJK (Autorità indonesiana per le telecomunicazioni e la riscossione dei crediti), e un fornitore esterno di servizi di riscossione deve essere in possesso di una certificazione specifica.
Orario di visita	Solo servizi finanziari. Chiamate di marketing dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 18:00. Chiamate di recupero crediti dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 20:00. Al di fuori dei servizi finanziari, non è stata trovata alcuna regola sugli orari in UU PDP o PM Kominfo 5/2021
Fuso orario	La regola prevede il waktu setempat, ovvero l'ora locale del consumatore. L'Indonesia si estende su WIB, WITA e WIT, quindi un unico intervallo di numerazione nazionale non è adatto a questo mercato.
Modello di consenso	UU PDP Pasal 20(2)(a) consenso esplicito e valido per uno o più scopi dichiarati, come prima delle sei basi legali. POJK 22/2023 Pasal 39(1) vieta separatamente a un'impresa finanziaria di commercializzare attraverso un canale di comunicazione personale senza consenso
Elenco dei numeri da non chiamare	Nessuno. Non è presente alcun registro nazionale in UU PDP, PM Kominfo 5/2021 o POJK 22/2023. Le alternative sono un'opzione di rifiuto a livello di operatore per SMS di marketing e un registro di consenso per azienda nei servizi finanziari.
Regola di identificazione del chiamante	Non è stato trovato alcun prefisso o intervallo riservato per il telemarketing. Il POJK 22/2023 Pasal 39(4)(b) richiede che il chiamante dichiari il nome dell'azienda e spieghi lo scopo prima di offrire qualsiasi cosa. La mascheratura dell'ID del mittente SMS è consentita ma deve essere segnalata alla Direktur Jenderal ogni tre mesi.
Regola di registrazione	Obbligatorio nei servizi finanziari. Il Regolamento di procedura civile n. 22/2023, paragrafo 39(5), richiede la registrazione vocale o video di un'offerta fatta attraverso un canale di comunicazione personale, il paragrafo 39(7) richiede che sia documentata quando l'offerta viene accettata e il paragrafo 39(8) dà al consumatore accesso ad essa.
Legge sulla protezione dei dati	UU PDP, con un periodo di transizione di due anni ai sensi del Pasal 74, conclusosi il 17 ottobre 2024. La notifica della violazione è di 3 x 24 ore all'interessato e al lembaga ai sensi del Pasal 46.
Sanzioni	Sanzione amministrativa UU PDP fino al 2% del fatturato annuo o degli introiti attribuibili alla variabile della violazione. Esposizione penale fino a 5 anni e 5 miliardi di rupie indonesiane, con le società multate fino a dieci volte il massimo. Le sanzioni POJK prevedono il licenziamento del management e una sanzione amministrativa con un tetto massimo di 15.000.000.000 di rupie indonesiane.
Periodo di validità del consenso	Non pubblicato. Il PDP dell'Università di Ulster non prevede una scadenza e la forma e la conservazione delle prove di consenso sono delegate a un regolamento attuativo che non è stato localizzato
Limiti di frequenza	Non pubblicato come numero. POJK 22/2023 Pasal 62(2)(d) richiede solo che le collezioni non siano continue in modo da disturbare il consumatore

Chi regola le chiamate in uscita in Indonesia?

Tre autorità sono rilevanti, e nessuna di esse rilascia licenze ai telemarketing. Komdigi è il Ministero delle Telecomunicazioni e del Digitale, rinominato da Kominfo nel 2024, e il suo strumento operativo in questo caso è Peraturan Menteri Kominfo Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi. OJK è l'autorità per i servizi finanziari, e POJK 22/2023 è il regolamento di condotta che disciplina le modalità con cui un'azienda finanziaria può commercializzare e riscuotere crediti. UU PDP crea un organo di vigilanza, denominato nella legge semplicemente lembaga, che, secondo Pasal 58, è istituito dal Presidente tramite Peraturan Presiden.

Leggete attentamente il regolamento Komdigi prima di presumere che vi riguardi. Il suo capitolo sul marketing, BAB XIV, è rivolto agli operatori di rete mobile e ai fornitori di servizi di contenuti, piuttosto che alle aziende che acquistano le chiamate, e ogni articolo operativo dal Pasal 176 al 186 è incentrato sul layanan pesan pendek yang bersifat penawaran, ovvero il marketing, che si riferisce al marketing SMS. Il marketing vocale in uscita non è semplicemente regolamentato da tale strumento.

Nel settore dei servizi finanziari la situazione si inverte. Il POJK 22/2023 vincola il PUJK, il Pelaku Usaha Jasa Keuangan, e le sue norme di marketing e riscossione si applicano sia che l'azienda effettui le chiamate direttamente, sia che affidi il lavoro a terzi, con un fornitore di servizi di riscossione esterno che necessita di una certificazione. Tutti gli altri sono soggetti esclusivamente alla normativa UU PDP: qualsiasi organizzazione che decida le finalità del trattamento è un Pengendali Data Pribadi, obbligato dal Pasal 20(1) ad avere una base giuridica, senza registrazione e senza notifica a un'autorità di controllo.

Consenso e possibilità di rifiuto

La legge UU PDP elenca sei basi giuridiche nel paragrafo 20(2) del Pasal. La prima è il consenso esplicito e valido dell'interessato per uno o più scopi specifici precedentemente comunicati. Le altre sono l'esecuzione di un contratto, un obbligo legale, interessi vitali, un compito pubblico e altri interessi legittimi bilanciati con i diritti dell'interessato. Il marketing a una lista di contatti non qualificati raramente sopravvive a una base giuridica diversa dal consenso.

L'articolo 21(1) del Codice Tributario statunitense (Pasal) prescrive cosa deve essere comunicato prima dell'acquisizione del consenso: la liceità del trattamento, la finalità, la tipologia e la pertinenza dei dati personali, il periodo di conservazione dei documenti che li contengono, i dettagli delle informazioni raccolte, la durata del trattamento e i diritti dell'interessato. Si tratta di un'informativa più dettagliata rispetto a quella presente nella maggior parte degli script di marketing in uscita, e deve essere fornita prima dell'acquisizione del consenso, non dopo la vendita.

La revoca del consenso non è una mera preferenza. Qualora l'interessato revochi il consenso, il paragrafo 43(1) obbliga il titolare del trattamento a cancellare i dati personali, e il paragrafo 45 lo obbliga a informare l'interessato dell'avvenuta cancellazione o distruzione. L'esaurimento delle finalità, la richiesta dell'interessato e l'acquisizione illecita comportano lo stesso obbligo.

Il settore dei servizi finanziari aggiunge un ulteriore livello di severità. Il paragrafo 39(1) del POJK 22/2023 vieta a un PUJK di offrire prodotti o servizi a un potenziale cliente o a un cliente effettivo attraverso un canale di comunicazione personale senza il consenso di quest'ultimo. Il paragrafo 39(2) vieta di subordinare l'utilizzo del prodotto o servizio a tale consenso. Il paragrafo 39(3) impone all'azienda di interrompere l'offerta nel momento in cui la persona si ritira. Infine, il paragrafo 39(4)(c) richiede al chiamante di indicare la fonte dei dati della persona qualora siano stati ottenuti da terzi, regola che rende inutilizzabile un elenco acquistato nel telemarketing finanziario indonesiano, a meno che non si sia disposti a rivelare la fonte dell'acquisto durante la chiamata.

Non chiamare

In Indonesia non esiste un registro nazionale "Non chiamare". Tale registro non compare nel Regolamento Generale sulla Protezione dei Dati (UU PDP), nel Regolamento del Primo Ministro Kominfo 5/2021 o nel Regolamento del Governo Federale (POJK 22/2023). Non esiste un registro da confrontare e l'azienda che acquista le chiamate non ha l'obbligo di verificare le liste, poiché tale obbligo ricade su altri soggetti.

Per quanto riguarda SMS di marketing, l'obbligo ricade sull'operatore ed è più rigoroso di una semplice opzione di disattivazione. Gli articoli 177 e 178 del Codice Tributario statunitense (CBD) impongono agli operatori di rete mobile e ai fornitori di servizi di contenuti di offrire agli abbonati la possibilità di rifiutare SMS di marketing e di pubblicizzare tale scelta. L'articolo 179 vieta l'invio a chiunque abbia rifiutato. Infine, l'articolo 180 vieta l'invio a chiunque non abbia scelto di rifiutare. Interpretato letteralmente, il silenzio non equivale a consenso e la posizione predefinita è l'assenza totale SMS di marketing.

Il paragrafo 182 prevede l'invio di messaggi di servizio relativi a ciò che l'abbonato già possiede, come il numero MSISDN e la scadenza del pacchetto dati, a condizione che non vi siano contenuti di marketing. Il paragrafo 183 richiede un centro reclami per SMS di marketing, accessibile almeno tutti i giorni lavorativi, e il paragrafo 181(2) prevede che le violazioni siano pubblicate sul sito web del ministero.

Per le chiamate vocali, la tua lista di non chiamare è personale. Creala a partire dai prelievi ai sensi dell'UU PDP Pasal 43(1) e, nei servizi finanziari, dai prelievi ai sensi del POJK 22/2023 Pasal 39(3), e trattala come un blocco definitivo al momento della chiamata piuttosto che come un aggiornamento periodico della lista.

Giorni e orari per le chiamate

È proprio in questo caso che un unico sportello nazionale sarebbe un errore. Gli unici orari di chiamata indonesiani pubblicati sono quelli del POJK 22/2023 e si applicano ai servizi finanziari.

Per quanto riguarda il marketing, il Pasal 39(4)(a) consente la comunicazione solo dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 18:00 waktu setempat, salvo diverso accordo con il potenziale cliente o con il cliente stesso o su loro richiesta. Per quanto riguarda il recupero crediti, il Pasal 62(2)(f) consente le chiamate solo dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 20:00 waktu setempat, e il Pasal 62(3) consente di chiamare al di fuori di tali orari o in tale luogo solo previo accordo con il consumatore.

Waktu setempat significa ora locale e la normativa vincola la finestra temporale alla fascia oraria locale del consumatore, anziché a quella di Giacarta. L'Indonesia si estende su tre fusi orari: WIB, WITA e WIT, quindi un inizio alle 08:00 a Jayapura è due ore avanti rispetto a un inizio alle 08:00 a Medan. Un sistema di composizione automatica che programma le chiamate in Indonesia in base a un unico fuso orario nazionale chiamerà la Papua prima dell'apertura della finestra temporale o si fermerà a Sumatra prima della sua chiusura.

Al di fuori dei servizi finanziari, non è stata trovata alcuna norma sugli orari di chiamata nel Regolamento UU PDP o nel PM Kominfo 5/2021. Non si deve considerare la finestra temporale stabilita dall'OJK come una norma nazionale, né la sua assenza altrove come un'autorizzazione a chiamare a mezzanotte. Lo stesso vale per i limiti di frequenza: il Regolamento POJK 22/2023 Pasal 62(2)(d) richiede solo che le chiamate non siano continue in modo da disturbare il consumatore, senza specificare un numero preciso.

Identificativo del chiamante e presentazione del numero

In Indonesia non esiste un prefisso riservato per il telemarketing. Non è stata trovata alcuna gamma di numeri dedicata alle chiamate vocali di marketing nel PM Kominfo 5/2021 o in altri documenti normativi, né è stata individuata alcuna regola sulla presentazione di numeri CLI nascosti o falsificati per le chiamate commerciali. Si tratta di un'assenza nei documenti esaminati, non di un'autorizzazione esplicita, pertanto si consiglia di verificare con Komdigi prima di farvi affidamento.

Ciò che l'Indonesia regolamenta invece è l'identificazione verbale. Il Regolamento di procedura commerciale indonesiano (POJK) 22/2023, comma 39(4)(b), richiede che durante una chiamata di marketing di servizi finanziari venga indicato il nome del PUJK (Public Utilities Board of Kenya) e che venga spiegato lo scopo e l'obiettivo prima di offrire qualsiasi prodotto o servizio. Insieme al comma 39(4)(c) relativo alla divulgazione della fonte dei dati, i primi trenta secondi di una chiamata di servizi finanziari indonesiana sono di fatto predeterminati dalla normativa.

Per quanto riguarda la messaggistica, la mascheratura dell'ID del mittente è legale ma soggetta a supervisione. La legge Pasal 186 prevede che l'utilizzo della mascheratura dell'identità per SMS di marketing debba essere segnalato ogni tre mesi alla Direktur Jenderal (Direzione Generale delle Comunicazioni) dall'operatore di rete mobile o dal fornitore di servizi di contenuti. Tale segnalazione non è a vostra discrezione, ma i vostri ID del mittente sono quelli che vi compaiono.

Registrazione delle chiamate e notifiche

L'Indonesia è un caso a parte: nei servizi finanziari, la registrazione della chiamata di vendita è obbligatoria, non semplicemente consentita. Il paragrafo 39(5) del POJK 22/2023 obbliga il PUJK a effettuare una registrazione vocale o video quando offre prodotti o servizi attraverso un canale di comunicazione personale che utilizza voce o video. Il paragrafo 39(7) lo obbliga a documentare la registrazione nel caso in cui il potenziale cliente accetti l'offerta. Il paragrafo 39(8) conferisce al consumatore che acquista il prodotto il diritto di accesso alla propria registrazione.

Il paragrafo 39(6) del Pasal chiude il cerchio richiedendo che la registrazione stessa sia effettuata in conformità con le leggi vigenti, il che significa che la UU PDP si applica alla registrazione come dato personale: una base giuridica, uno scopo dichiarato, un periodo di conservazione reso noto e la cancellazione quando la base giuridica viene meno.

Due aspetti non sono pubblicati. Il POJK 22/2023 non specifica alcun periodo di conservazione per tali registrazioni, limitandosi ad affermare che esse sono documentate e accessibili. Inoltre, non è previsto alcun obbligo separato di preavviso di registrazione, ovvero il consueto annuncio che una chiamata viene registrata; ciò che viene indicato è l'obbligo di identificazione e divulgazione dello scopo previsto dall'articolo 39(4)(b) del Pasal. È consigliabile considerare l'annuncio come una buona prassi piuttosto che come una norma vincolante e confermare con l'OJK i termini di conservazione previsti.

Regole di messaggistica per SMS e WhatsApp

SMS di marketing sono l'unico canale che la legge indonesiana sulle telecomunicazioni affronta direttamente, e la catena di responsabilità passa attraverso l'operatore e il fornitore di servizi di contenuti, anziché attraverso l'utente. Le conseguenze pratiche sono che all'abbonato deve essere stata offerta la possibilità di rifiutare, l'impostazione predefinita ai sensi della legge Pasal 180 è il divieto di invio, i messaggi di servizio non devono contenere materiale di marketing, deve esistere una procedura di reclamo e l'occultamento del numero è soggetto a segnalazione.

I canali over-the-top non sono specificati. Il PM Kominfo 5/2021 si riferisce ai servizi di messaggistica breve (SMS), non a WhatsApp o simili. Ciò non significa che non siano regolamentati: la legge sulla protezione dei dati personali (UU PDP) si applica ai dati personali indipendentemente dal canale, e il POJK 22/2023 Pasal 39 parla di canali di comunicazione privata (Sarana komunikasi pribadi), che il regolamento non definisce in base al canale. Si presume che gli obblighi relativi al consenso, all'identificazione e all'interruzione del trattamento dei dati in caso di recesso siano legati al contatto piuttosto che alla tecnologia, ed è consigliabile confermare questo punto con l'OJK prima di avviare una campagna di servizi finanziari su un'app di messaggistica.

Protezione e conservazione dei dati

Il Piano di Sviluppo Urbano (UU PDP) è stato promulgato il 17 ottobre 2022 con un periodo di transizione di due anni ai sensi del Pasal 74. Tale periodo si è concluso il 17 ottobre 2024, pertanto la piena conformità è dovuta da allora. Non è previsto alcun periodo di grazia per pianificare.

Il trasferimento transfrontaliero è un processo a cascata in tre fasi, come previsto dal Pasal 56. In primo luogo, il titolare del trattamento deve assicurarsi che il paese in cui ha sede il titolare o il responsabile del trattamento ricevente offra un livello di protezione dei dati personali pari o superiore a quello previsto dalla legge ugandese sulla protezione dei dati personali (UU PDP). In caso contrario, deve garantire l'esistenza di una protezione adeguata e vincolante. In mancanza di entrambi i requisiti, deve ottenere il consenso dell'interessato. I dettagli sono delegati a una legge federale (Peraturan Pemerintah), e non è stata individuata alcuna normativa attuativa in merito; pertanto, la documentazione dell'autovalutazione è a carico dell'interessato.

Non esiste una whitelist indonesiana di adeguatezza su cui fare affidamento. Il test è un'autovalutazione del livello di protezione del paese destinatario, quindi ogni contact center offshore, regione cloud e archivio di registrazioni necessita di protezione vincolante o del consenso dell'interessato, comprovato prima della messa in funzione e non dopo un audit.

La conservazione è vincolata allo scopo piuttosto che fissa. La cancellazione ai sensi del paragrafo 43(1) del Pasal è innescata dall'esaurimento dello scopo, dalla revoca del consenso, da una richiesta dell'interessato o da un'acquisizione illecita, mentre la distruzione ai sensi del paragrafo 44(1) del Pasal è innescata dalla scadenza del periodo di conservazione dell'archivio, da una richiesta dell'interessato, dall'assenza di procedimenti legali in corso o da un'acquisizione illecita. Il periodo di conservazione stesso deve essere stato comunicato al momento del consenso ai sensi del paragrafo 21(1)(d) del Pasal, il che rende la vostra informativa il limite massimo applicabile.

La notifica delle violazioni è rapida. La norma Pasal 46 richiede una notifica scritta entro 3 x 24 ore all'interessato e al lembaga, indicando i dati esposti, quando e come è avvenuta la violazione e le misure correttive adottate.

Sanzioni e applicazione

L'articolo 57 del Regolamento generale sulla protezione dei dati (GDPR) prevede sanzioni amministrative: un avvertimento scritto, la sospensione temporanea dell'attività di trattamento, la cancellazione o la distruzione dei dati personali e una sanzione amministrativa fino al 2% del fatturato annuo o degli incassi annui relativi alla violazione. Sono soggette a sanzioni le violazioni degli articoli 20(1), 21, 43(1), 44(1), 45, 46, 47 e 56 del Regolamento generale sulla protezione dei dati.

L'esposizione penale è separata e più grave. Ottenere o raccogliere illegalmente dati personali di un'altra persona a scopo di lucro, causando un danno, comporta fino a 5 anni di reclusione e una multa di 5.000.000.000 di rupie indonesiane. La divulgazione illegale comporta fino a 4 anni di reclusione e una multa di 4.000.000.000 di rupie indonesiane. L'uso illegale comporta fino a 5 anni di reclusione e una multa di 5.000.000.000 di rupie indonesiane. La falsificazione di dati personali comporta fino a 6 anni di reclusione e una multa di 6.000.000.000 di rupie indonesiane. Ai sensi del Pasal 70, una società paga solo una multa, ma fino a dieci volte il massimo, il che porta il limite massimo per le società previsto dal Pasal 67(1) a 50 miliardi di rupie indonesiane e per la falsificazione a 60 miliardi di rupie indonesiane, oltre alla confisca dei proventi, al congelamento dell'attività in tutto o in parte e al divieto permanente di determinati atti. Amministratori, azionisti di controllo, committenti e titolari effettivi possono essere incriminati personalmente.

Nel settore dei servizi finanziari le sanzioni incidono sulla licenza. Il POJK 22/2023 Pasal 39(9) per il marketing e Pasal 62(4) per le riscossioni prevedono un avvertimento scritto, la restrizione di prodotti, servizi o attività commerciali in tutto o in parte, il loro congelamento, il licenziamento della dirigenza, una sanzione amministrativa, la revoca della licenza di prodotto o di servizio e la revoca della licenza commerciale. L'escalation non deve necessariamente iniziare con un avvertimento. La sanzione è limitata a 15.000.000.000 IDR ai sensi del Pasal 39(11) e del Pasal 62(6).

Cosa è cambiato nel 2025 e nel 2026?

La questione più rilevante non è un cambiamento, bensì un'assenza. Il Pasal 58 dell'UU PDP prevede un organo di supervisione istituito dal Presidente e a lui responsabile, con i dettagli definiti da un Peraturan Presiden. Non è stato possibile confermare se tale Peraturan Presiden sia stato emesso e se l'organismo sia operativo. Si tenga presente che gli obblighi statutari sono vincolanti e che la supervisione potrebbe essere istituita in qualsiasi momento, poiché la transizione al Pasal 74 è già conclusa.

Anche il Peraturan Pemerintah attuativo ai sensi del Pasal 56(5) per il trasferimento transfrontaliero e ai sensi del Pasal 57(5) per la procedura sanzionatoria non è stato individuato, quindi due dei meccanismi operativamente più importanti della legge sono ancora privi dei loro dettagli.

Non è stato trovato alcuno strumento Komdigi del 2025 o del 2026 sul telemarketing. La circolare ministeriale più recente, Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026 del 26 agosto 2026, riguarda le quote dati residue e non ha nulla a che vedere con il marketing. Il PM Kominfo 5/2021 rimane lo strumento operativo in materia di telecomunicazioni e il POJK 22/2023 la norma vincolante per le chiamate a servizi finanziari e di riscossione. Non è stato possibile confermare se l'OJK abbia emesso una circolare del 2025 o del 2026 che approfondisca i paragrafi 39 e 62, pertanto si consiglia di consultare l'indice dei regolamenti dell'OJK prima della pubblicazione.

Come la piattaforma supporta ciascuna regola

DialerBee fornisce controlli a supporto della conformità che ti aiutano a rispettare gli obblighi sopra menzionati. L'Indonesia non viene fornita come pacchetto per giurisdizione, pertanto gli orari di chiamata, la gestione del "non chiamare" e il consenso sono configurati per ogni singolo tenant. La responsabilità legale rimane in capo all'operatore della campagna.

dominio indonesiano	Controllo che lo supporta
Finestra di marketing dalle 08:00 alle 18:00, waktu setempat	Finestre di chiamata configurate per tenant e per campagna, applicate prima dell'avvio della chiamata.
Finestra delle collezioni dalle 08:00 alle 20:00, waktu setempat	Finestre temporali separate per ogni campagna, in modo che la raccolta fondi e il marketing non condividano lo stesso calendario.
Dal lunedì al sabato, esclusi i giorni festivi nazionali.	Le esclusioni relative ai giorni della settimana e alle festività sono impostate in base al calendario dell'tenant.
Tre fusi orari locali nell'arcipelago	Ritmo di esecuzione in base al fuso orario, in modo che la finestra temporale segua il contatto anziché il responsabile della campagna.
Consenso esplicito per le finalità indicate	Consenso creato, aggiornato e revocato come documenti verificabili.
Il ritiro interrompe l'offerta e comporta la cancellazione	La revoca ha effetto al tentativo successivo, non al successivo aggiornamento dell'elenco.
Non esiste un registro nazionale, quindi la tua lista è la lista	Il tuo elenco di numeri da non chiamare viene importato una sola volta, quindi viene esaminato e verificato ad ogni tentativo.
Indicare il nome dell'azienda e lo scopo prima di offrire	Script e agenti vocali basati sull'intelligenza artificiale creati per ogni campagna a partire da una libreria di modelli pre-revisionati.
Registrazione obbligatoria delle offerte di servizi finanziari	Registrazione con conservazione configurabile, riproduzione tramite URL firmati, blocco legale e isolamento per singolo utente.
Diritto del consumatore di accedere alla propria registrazione	Esportazione delle registrazioni da parte del revisore e traccia di controllo per ogni sovrascrittura delle regole.
Contatti in lingua indonesiana raggiunti nella loro lingua	Intelligenza artificiale in grado di riconoscere le lingue in 11 lingue, incluso l'indonesiano.
Chiamate effettuate tramite operatori indonesiani che già utilizzi	Trunking SIP BYOC con pool di ID chiamante di proprietà esclusiva per ciascun tenant

Lista di controllo per la conformità dei viaggi in uscita dall'Indonesia

Prima di comporre il numero, decidi a quale regime appartieni: servizi finanziari ai sensi del POJK 22/2023 o solo UU PDP.
Registrare una base giuridica ai sensi del Regolamento UU PDP Pasal 20 per ogni contatto registrato nella campagna.
Fornire l'informativa completa di cui al paragrafo 21(1) del Pasal prima di ottenere il consenso, incluso il periodo di conservazione.
Programmare le attività di marketing per i servizi finanziari dalle 08:00 alle 18:00 e le attività di riscossione dalle 08:00 alle 20:00, dal lunedì al sabato, esclusi i giorni festivi nazionali.
Applica la finestra temporale all'ora locale del contatto su WIB, WITA e WIT, anziché a un unico orologio nazionale.
Iniziate le chiamate relative ai servizi finanziari nominando l'azienda e spiegandone lo scopo.
Indicare sempre la fonte dei dati di contatto qualora provengano da terzi.
Registra le offerte vocali fatte attraverso i canali di comunicazione personali nel settore dei servizi finanziari e documenta la registrazione nel momento in cui l'offerta viene accettata.
Offrire al cliente l'accesso alla propria registrazione su richiesta.
Interrompere immediatamente l'offerta al momento del ritiro e cancellare i dati personali come richiesto da Pasal 43(1).
Utilizzate la vostra lista di esclusione personale come lista di non contattare, poiché non esiste un registro nazionale con cui effettuare una verifica.
Documentare la valutazione del trasferimento Pasal 56 prima che qualsiasi contact center offshore, regione cloud o archivio di registrazioni venga attivato.
Siate pronti a notificare una violazione entro 3 x 24 ore all'interessato e all'autorità di controllo.
Prima del lancio, si raccomanda di ricontrollare gli indici normativi Komdigi e OJK, poiché i regolamenti attuativi del PDP dell'UU non sono ancora stati emanati.

Fonti

Undang-Undang Republik Indonesia Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, promulgato il 17 ottobre 2022, Lembaran Negara 2022 No. 196, Tambahan LN No. 6820.
Peraturan Menteri Komunikasi dan Informatika Nomor 5 Tahun 2021 tentang Penyelenggaraan Telekomunikasi, promulgato il 1 aprile 2021. Komdigi JDIH
Peraturan Otoritas Jasa Keuangan Nomor 22 Tahun 2023 tentang Pelindungan Konsumen dan Masyarakat di Sektor Jasa Keuangan, in vigore dal 22 dicembre 2023. Regolamento OJK (PDF)
Surat Edaran Menteri Komunikasi dan Digital Nomor 4 Tahun 2026, 26 agosto 2026. Indice Komdigi JDIH

Domande frequenti

Quali sono gli orari legali per le chiamate in Indonesia?

Solo i servizi finanziari hanno una finestra temporale pubblicata. Il POJK 22/2023 Pasal 39(4)(a) consente le comunicazioni di marketing dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 18:00 ora locale, e il Pasal 62(2)(f) consente le riscossioni dal lunedì al sabato, esclusi i giorni festivi nazionali, dalle 08:00 alle 20:00 ora locale. Al di fuori di tali orari è necessario il consenso del consumatore. Non è stata trovata alcuna norma generale indonesiana sugli orari di chiamata nell'UU PDP o nel PM Kominfo 5/2021.

L'Indonesia ha un registro "Non chiamare"?

No. In Indonesia non esiste un registro nazionale "Non chiamare" e non ne compare alcuno nella UU PDP, nel PM Kominfo 5/2021 o nel POJK 22/2023. Esiste invece un'opzione a livello di operatore che consente agli abbonati di rifiutare SMS di marketing e, nel settore dei servizi finanziari, un obbligo di consenso e revoca per ciascuna azienda. La tua lista di esclusione, creata a partire dai dati relativi alle revoche, è la lista che devi far rispettare.

Ho bisogno del consenso per chiamare numeri indonesiani?

Ai sensi del paragrafo 20 del Regolamento UU PDP, è necessaria una base giuridica e, per il marketing rivolto a una lista di potenziali clienti non ancora acquisiti, tale base è normalmente il consenso esplicito per le finalità dichiarate, come previsto dal paragrafo 2(2)(a). Nel settore dei servizi finanziari, il paragrafo 39(1) del Regolamento POJK 22/2023 è esplicito: un'impresa non può offrire prodotti o servizi attraverso un canale di comunicazione personale senza il consenso della persona e non può subordinare tale consenso all'utilizzo del prodotto.

In Indonesia è obbligatorio registrare le chiamate?

Nei servizi finanziari, sì. Il Regolamento POJK 22/2023, comma 39(5), richiede a un PUJK di effettuare una registrazione vocale o video quando offre prodotti o servizi attraverso un canale di comunicazione personale che utilizza voce o video, il comma 39(7) richiede che la registrazione sia documentata nel momento in cui l'offerta viene accettata e il comma 39(8) dà al consumatore accesso ad essa. Il regolamento non specifica alcun periodo di conservazione.

In Indonesia esiste un prefisso per l'identificazione del chiamante utilizzato per il telemarketing?

Nel PM Kominfo 5/2021 e negli altri strumenti esaminati non è stato trovato alcun prefisso riservato o intervallo di numeri dedicato per le chiamate vocali di telemarketing. Ciò che è richiesto, invece, è l'identificazione vocale: il POJK 22/2023 Pasal 39(4)(b) obbliga chi effettua chiamate per servizi finanziari a dichiarare il nome dell'azienda e a spiegarne lo scopo prima di offrire qualsiasi cosa. Confermare la posizione di numerazione con Komdigi prima di fare affidamento sull'assenza.

Perché non posso utilizzare un unico sportello di chiamata nazionale per l'Indonesia?

Poiché la normativa vincola la finestra temporale al waktu setempat, ovvero l'ora locale del consumatore, e l'Indonesia si estende su tre fusi orari: WIB, WITA e WIT, un inizio alle 08:00 nel fuso orario orientale corrisponde a due ore prima rispetto a un inizio alle 08:00 nel fuso orario occidentale. Pertanto, un unico orario nazionale inizierà prima dell'apertura della finestra temporale nel fuso orario orientale o terminerà prima in quello occidentale.

Cosa succede se promuovo prodotti di marketing rivolti ai consumatori indonesiani senza il loro consenso?

Ai sensi della legge UU PDP Pasal 57, le sanzioni amministrative vanno da un avvertimento scritto alla sospensione del trattamento, alla cancellazione dei dati e a una multa fino al 2% del fatturato annuo o degli introiti relativi alla variabile di violazione. Nel settore dei servizi finanziari, la legge POJK 22/2023 aggiunge conseguenze a livello di licenza, tra cui la restrizione o il congelamento dell'attività commerciale, il licenziamento del management e una sanzione amministrativa massima di 15.000.000.000 di rupie indonesiane.

L'autorità indonesiana per la protezione dei dati ha iniziato a svolgere attività di vigilanza?

La legge UU PDP Pasal 58 prevede un organo di vigilanza istituito dal Presidente tramite una Peraturan Presiden, ma non è stato possibile confermare se tale atto sia stato emesso e l'organismo costituito. Gli obblighi in questione sono già vincolanti: il periodo di transizione biennale previsto dalla legge Pasal 74 si è concluso il 17 ottobre 2024, pertanto l'adempimento è dovuto indipendentemente dalla posizione dell'organo di vigilanza.

Letture correlate

Disclaimer: Questo articolo fornisce informazioni di carattere generale e non costituisce consulenza legale. Diverse normative attuative del Piano di Sviluppo Pianificato dell'Unione (UU PDP) sono ancora in sospeso e non è stato possibile confermare lo stato dell'organismo di vigilanza. Si consiglia di verificare i requisiti attuali con il Ministero delle Comunicazioni e del Digitale (Kementerian Komunikasi dan Digital), l'Ufficio dei Servizi Finanziari (Otoritas Jasa Keuangan) e un legale locale qualificato.

Conformità alle chiamate in uscita in Indonesia: UU PDP e OJK (2026)